保护加密货币免受量子计算机威胁的70亿美元竞赛

尽管有谣言和恐慌，但量子计算机距离威胁今天的金融系统仍有数年之遥。但为此做好准备的成本已经开始显现。

在三月份，谷歌研究人员估计，足够先进的量子计算机可以在几分钟内破解广泛使用的256位椭圆曲线密码学。这是加密钱包、保管系统、区块链签名以及金融机构使用的许多安全基础设施所采用的相同级别的密码学。

尽管量子日可能不会在明天到来，各国政府已经开始规划。因为风险太大，无法忽视。美国正在预算数十亿美元，将联邦系统迁移到新的后量子标准，而NIST希望在2035年前淘汰脆弱的算法。

对于加密货币来说，过渡要困难得多。价值数十亿美元的资产可能会在数十年内无人问津，旧钱包可能永远不会升级，而机构保管系统是围绕量子计算机预计会破解的密码学构建的。

BeInCrypto与BitGo、Nethermind和密码学社区的专家进行了交谈，讨论这一迁移实际上将涉及什么——以及最终将由谁来承担费用。

加密货币机构巨头面临的量子风险

我们采访的三位专家对此有着相同的看法。机构需要完整记录脆弱密码学的使用情况，包括签名系统、硬件、恢复程序、身份验证和长期密钥。

奈杰尔·斯马特，拥有计算数论博士学位的，称之为加密材料清单。

“

NIST 同样将发现和优先排序置于过渡过程的开始阶段。

对于来自 BitGo 的 Akshay Thakur，机构托管引入了另一个关键要求。

“机构托管依赖于门限签名；密钥从未集中在一个地方。NIST 为了实现简单性、紧凑性和保守性进行了标准化。门限性并不是一个标准化的优先事项。Falcon，Solana、Algorand 和现在的 TRON 都已采用，但今天没有可行的门限构造。这是一个开放的研究问题。”

NIST 于 2026 年 1 月首次正式呼吁多方门限方案，而在其 MPTS 研讨会上提出的研究发现，使用标准哈希签名的门限签名存在严重的效率损失。

来自 Nethermind 的 Nitin Gaur，一家专注于区块链基础设施的工程公司，表示同样的问题在公司系统中普遍存在。

“整个资产的加密库存：在 TLS、JWT 发行、代码签名、CA 根、API 认证、固件中每次使用 RSA、ECC 和 Diffie-Hellman。这占程序成本的百分之十到十五，且是关键路径的百分之百。”

更大的签名，更高的成本

后量子安全需要显著更大的密钥和签名。NIST 的 ML-DSA-65 使用 3,309 字节的签名和 1,952 字节的公钥，而常用的椭圆曲线签名通常只有几十字节。一些 SLH-DSA 变体的大小达到几十千字节。

在区块链上，更多的字节意味着更大的带宽使用、更高的存储需求和潜在的更高费用。

对于权益证明网络，Nigel Smart 还指出有效聚合标准化后量子签名的困难。

“后量子签名可能比今天的签名大得多，增加了带宽、存储和验证开销。在区块链领域，我们需要可以轻松聚合的签名（在权益证明区块链的共识层中），而目前使用标准化后量子签名进行聚合并不简单。

Thakur 预计用户面临的成本将在签名时显著体现，因为更大的有效载荷通过多方协议传递并增加延迟。

混合时期，即经典签名和后量子签名同时运行，可能进一步加大这些成本。

保管问题

机构保管是围绕椭圆曲线密码学构建的，采用了 MPC、硬件安全模块、恢复程序和相应的审批系统。因此，改变签名需要保管人重新验证密钥周围的控制系统的许多部分。

Gaur 表示，单独的 MPC 并不提供量子抗性。

“MPC 分配计算但不改变算法：五方之间的阈值 ECDSA 仍然是 ECDSA。量子计算机仅从公钥推导私钥，因此不需要妥协任何一方，也不关心有多少方。每花费一美元在签名者之间分配信任，购买的量子抗性恰好为零，而这一点在认为其保管技术处于最先进水平的机构内部并不被充分理解。”

奈杰尔·斯马特表示，升级最困难的系统将是钱包、保管基础设施和已经控制资产的智能合约。

比特币显示了时间的重要性。2026年6月的一份报告估计，大约有170万个 BTC 仍然存放在早期地址中，这些地址的公钥已经暴露。

这些币可能永远不会移动，如果量子计算机在网络完成迁移之前变得足够强大，它们将变得脆弱。

谁为迁移买单？

斯马特预计责任将由协议开发者、保管人、服务提供商和资产所有者分担，因为每个群体控制迁移的不同部分。

高尔则主张设立一个由高级管理层拥有的中央预算。

“由中央资助，CISO 拥有，CFO 批准的多年预算，按照 Y2K 和 LIBOR 的方式进行管理。没有业务线会自愿为没有收入和没有客户需求的项目提供预算，按照这种方式资助是不会发生的。”

公共区块链更难以治理，因为没有单一的预算持有者能够强迫每个参与者进行升级。一个保管人可以更换自己的签名系统，但无法强迫沉睡资产的所有者转移资金或在整个网络中施加共识变更。

互联网安全表明，大规模迁移仍然可以提前开始。到2026年4月，Cloudflare报告称，超过三分之二的到达其网络的人类生成的TLS流量已经使用了后量子保护。

未定价的成本

加密行业仍然缺乏可信的行业范围估计。Thakur概述了最大的成本可能落在哪里。

“大部分成本不是加密技术。它是库存和依赖关系映射。它是无法升级且必须更换的硬件。它是在你证明新的系统保留每个控制时，经典和后量子系统并行运行。它是重新审计和重新认证。而且有一个类别在任何以前的加密迁移中没有先例：支付链上交易费用以在后量子签名大小的链上移动资产，而这些更大的签名本身已经推高了费用。”

Nigel Smart评论了这种迁移的时间表。

“过渡可能需要数年而不是数月，因此提前进行库存、测试和分阶段迁移比最后时刻的升级更为可取。然而，许多政府和大型公司在过去几个月中已经相当积极地提前了他们的过渡时间表。”

这些日期已经为机构提供了足够的预算依据。以太坊的目标是在2029年左右实现核心的后量子保护，而NIST的过渡时间表则延续到2035年。

不确定性在于加密相关的量子硬件何时到来，而采购周期、硬件更换和保管重新设计已经在以年的时间表进行。

来源：BeInCrypto